EUの高リスクAI規制はいつ始まる？実装を左右する「標準化」と各国体制｜2026年7月18日版
EUのAI Actで、高リスクAIに関するルールの適用時期は一律ではなくなった。単体で使われる高リスクAIは2027年12月2日、製品に組み込まれた高リスクAIは2028年8月2日が新たな適用時期とされている。
重要なのは、単なる猶予ではないことだ。リスク管理、学習データの品質、ログ、透明性、人による監督、サイバーセキュリティを、技術標準としてどう実装・説明するかが問われる段階に入った。
- ギリシャ議会は7月16日、AI Actの国内実施枠組みを可決した
- EUは高リスクAIの適用を、標準やガイドラインの整備と連動させた
- 企業は「自社のAIが高リスクか」を先に判定できる状態をつくる必要がある
- 日本企業もEU向けのAI搭載製品・サービスでは、開発時の記録と運用監視を後回しにできない
今日の重要ニュース早見表
- ギリシャが国内実施体制を整備：監督、苦情処理、制裁、規制サンドボックスを含む枠組みを法制化
- EUが高リスクAIの適用日を明確化：単体AIは2027年12月、製品組込み型は2028年8月へ
- 標準化が実務の中心に：リスク管理から適合性評価まで、10分野で共通の技術言語を整備中
- 高リスク判定ガイドラインを意見募集：最終版は2026年末の採択予定。現場は判定例を確認する段階にある
ギリシャで始まった「AI Actを運用する仕組み」
ギリシャのデジタル統治・AI省は、同国議会が7月16日にAI Actの国内実施枠組みを可決したと発表した。EU規則は加盟国に直接適用されるが、実際に監督、相談、苦情処理、制裁をどう担うかは各国の体制整備が必要になる。
今回の枠組みは、担当当局と連携機構を定めるほか、違反への制裁、研究・イノベーション支援を含む。さらにAI規制サンドボックスを設け、企業、スタートアップ、研究機関が当局の支援を受けながら実環境でAIを検証できるようにする。
なぜ重要か
AI規制は、法律の条文だけでは動かない。開発者が「どの当局に相談するか」、導入企業が「問題が起きた後に何を報告するか」、利用者が「どこへ苦情を出すか」が決まって初めて、運用の輪郭が見えてくる。
ここがポイント: AI Act対応は法務部門だけの仕事ではない。モデルの更新履歴、評価結果、利用目的、事故や苦情への対応を、開発・運用・監査でつなぐ仕事になる。
日本の読者への影響
日本からEUの顧客へAIサービスを提供する企業、またはEU市場向けの機器にAI機能を組み込む企業は、国ごとの窓口やサンドボックスの運用にも目を向ける必要がある。AI Act本文の把握だけでなく、提供先の加盟国で実務上どのような監督・支援が始まるかが、導入計画と文書化の負担を左右する。
適用延期の意味は「標準を先につくる」こと
EU理事会が6月29日に最終承認したAI関連のデジタル・オムニバス法では、高リスクAIの適用日が整理された。
- 生体認証、重要インフラ、教育、雇用、移民・国境管理などで使う単体の高リスクAI：2027年12月2日
- ロボットや産業機械など、規制対象の製品に組み込まれる高リスクAI：2028年8月2日
これは「何もしなくてよい期間」が増えたという意味ではない。EU委員会は、技術標準などの支援手段が利用可能になれば、上記より早く適用を始められるとしている。
高リスクかどうかは、モデル名では決まらない
同じ生成AIモデルでも、文章の下書き支援に使うのか、採用候補者の評価や教育の選抜、重要インフラの運用に使うのかで位置付けが変わる。AI Actは、用途と人への影響を軸に高リスクを判断する。
EU委員会が公表した案内では、高リスクAIは大きく次の2類型に分かれる。
- 製品安全に関するEU法の対象製品へ組み込まれるAI
- 健康、安全、基本的権利に大きな影響を及ぼし得る、AI Actで列挙された用途のAI
自社システムが対象外だと判断する場合にも、その根拠を説明できるようにしておくことが重要だ。特に個人のプロファイリングを行う用途は、例外の扱いにも注意が必要になる。
実装の焦点は10分野の標準化
AI Actの要求を開発チームが実行可能な作業に落とす鍵が、欧州の整合規格だ。EU委員会はCENとCENELECに対し、次の10分野で標準を策定するよう要請している。
- リスク管理
- データセットのガバナンスと品質
- 記録保持
- 透明性
- 人による監督
- 正確性
- 堅牢性
- サイバーセキュリティ
- 品質管理
- 適合性評価
整合規格の採用自体は任意だが、EU官報に掲載された規格に従う事業者は、対応するAI Act要件への適合が推定される。実務上は、モデルの性能だけでなく、データの来歴、評価の再現性、監視手順、変更管理を継続的に示せるかが競争力に結び付く。
すでに品質マネジメントの草案規格「prEN 18286」は公開意見募集に入っている。AIを組み込んだ製品や業務システムを海外展開するチームにとって、規格は将来の監査時だけに読む資料ではなく、今の開発プロセスを設計する材料だ。
高リスク判定ガイドライン、7月23日まで意見募集
EU委員会は、高リスクAIの分類に関するガイドライン案について、2026年7月23日まで意見を募集している。最終ガイドラインは2026年末の採択予定だ。
この案は、提供者、導入者、監督当局が「高リスクに当たるか」を判断するための実例を含む。判断が曖昧なまま開発を進め、後から文書、テスト、監視の仕組みを作り直すコストを抑える狙いがある。
日本企業が今確認したいのは、次の4点だ。
- EUに提供するAIの想定用途を、営業資料と実装仕様で一致させているか
- 人の権利や安全に影響する判断を、AIが実質的に左右していないか
- モデル更新、データ更新、障害対応の履歴を追跡できるか
- 導入先がEUのどの国・業界に属し、どの監督体制と接点を持つか
日本の読者が見るべきポイント
開発者と企業利用者で、優先順位は少し異なる。
開発者・プロダクト責任者
まず、用途ごとのリスク分類をプロダクト要件に組み込むべきだ。AIモデルの共通基盤を整えるだけでは足りず、採用、教育、融資、医療、重要インフラなど、導入先の用途に応じた評価・ログ・監督の設計が必要になる。
EU向けに販売する企業
契約時に「顧客が何に使うか」を確認する項目を設けたい。汎用APIでも、顧客の利用目的によって高リスクの論点が生まれるためだ。販売・法務・開発が別々に情報を持つ状態は、後の適合説明を難しくする。
一般ユーザー
規制の直接の効果は、採用、教育、公共サービスなど、生活に重要な判断でAIが使われる場面に現れる。どのAIが何を根拠に判断し、人がどこで確認するのかを説明する仕組みが、サービス選びの情報にもなっていく。
継続ウォッチ
- EU委員会が年末までに採択する高リスク分類ガイドラインの最終内容
- CEN/CENELECによる整合規格の公開時期と、各規格が対象にするAIライフサイクル
- 加盟国ごとの監督当局、規制サンドボックス、苦情処理の具体的な運用
- EU向けAIサービスで、用途確認と技術文書をどう契約・開発工程へ組み込むか
今日のまとめ
AI Act対応の中心は、規制の開始日を待つことではない。AIがどの用途で使われ、誰に影響し、どの証拠を残せるかを開発時から管理することにある。
2027年末と2028年夏は遠く見える。しかし、分類ガイドラインと技術標準が形になる2026年後半は、EU向けAIの設計書、ログ、品質管理を見直す具体的なタイミングになる。